Claude Security suit désormais les failles jusqu’à leur correction
Claude Security ajoute le suivi des changements, des corrections et des intégrations API et MCP. La bêta publique reste réservée à Enterprise.
Une faille signalée ne disparaît pas parce qu’elle figure dans un tableau de bord. Avec sa mise à jour du 21 octobre 2026, Claude Security cherche à suivre le code et les corrections dans la durée. Anthropic ajoute aussi des intégrations pour relier les résultats aux outils des équipes. Le service reste en bêta publique pour les clients Claude Enterprise.
L’évolution porte sur la continuité. Un scan ponctuel décrit un état du code. Il peut perdre de sa pertinence après plusieurs changements. Claude Security veut désormais suivre ces changements et vérifier si les problèmes précédemment détectés ont réellement été traités.
Le projet devient l’unité de suivi
Dans l’annonce complète, Anthropic explique qu’un projet peut réunir plusieurs dépôts. La connexion passe notamment par l’application GitHub de Claude ou par un jeton pour d’autres fournisseurs Git.
La documentation actuelle fixe une limite de huit dépôts par projet. Un dépôt peut être analysé directement ou seulement fournir du contexte. Les deux catégories comptent dans cette limite. Ce regroupement vise les problèmes qui se situent à la frontière entre plusieurs services.
Claude commence par une analyse approfondie. Il examine ensuite les changements selon leur complexité et leur niveau de risque. « Continu » ne veut donc pas dire qu’un scan complet tourne à chaque seconde. La documentation ne promet pas de fréquence fixe.
Le contexte change la portée d’un résultat
Le service produit un modèle des menaces à partir du code. L’équipe peut le relire et le corriger. Elle peut aussi ajouter des informations sur le déploiement et les contrôles déjà en place. Le code seul ne montre pas toujours qui peut atteindre un service ou quelles protections l’entourent.
Claude utilise ce contexte pour qualifier les problèmes et leur gravité. Un chemin théorique vers une fonction sensible n’a pas la même portée qu’un accès réellement ouvert depuis Internet. Cette qualification reste une analyse du système. Elle ne remplace pas la validation humaine d’un résultat important.
Anthropic précise également que deux scans du même code peuvent produire des résultats différents. Le service adapte son analyse au lieu d’appliquer uniquement des règles fixes. Il faut donc éviter de lire une liste vide comme une preuve exhaustive d’absence de faille.
Une correction suivie au-delà de Claude
Quand le code change, Claude Security revérifie les problèmes ouverts. Il peut marquer un problème comme corrigé même si l’équipe a travaillé dans un autre outil. Si le problème réapparaît ensuite, le résultat peut être rouvert.
L’API permet de consulter et de gérer les projets et les résultats. Un jeton personnel possède les droits de son utilisateur. Le connecteur MCP donne aussi accès aux résultats dans Claude et Claude Code. Des webhooks peuvent avertir les systèmes de suivi lorsqu’un nouveau problème apparaît.
Ces éléments réduisent les ruptures entre détection et traitement. Ils ne signifient pas que tous les correctifs sont appliqués automatiquement. Le service propose des modifications à examiner et permet d’ouvrir une session de correction.
Accès et coût demandent une lecture précise
La documentation exige un abonnement Enterprise actif, un siège premium par utilisateur et des crédits de consommation activés. Un responsable de l’organisation doit activer Claude Security. Le service hébergé ne prend pas en charge la conservation nulle des données. Le plugin de sécurité pour Claude Code est une fonctionnalité distincte.
La consommation est facturée au coût des tokens. Un plafond de dépenses séparé peut être défini. L’offre de lancement prévoit jusqu’à 25 000 dollars de crédits par mois pendant deux mois. Elle s’arrête au plus tard le 31 décembre 2026 et ne couvre pas automatiquement les anciens projets non migrés.
Pour compléter, mon article sur l’accès de Claude aux usages de cybersécurité distingue d’autres modalités d’accès.
Je trouve ce suivi plus instructif qu’un total de vulnérabilités annoncé. Ce qui compte à la fin, c’est de savoir quel risque reste ouvert et sur quelle version du code la correction a été vérifiée.